Pinoprotektahan ng two-factor authentication (2FA) ang account sa paghingi ng dalawang magkaibang bagay kapag nagsa-sign in ka: isang bagay na alam mo, tulad ng password, at isang bagay na hawak mo, tulad ng anim na digit na code mula sa authenticator app sa phone mo. Kahit manakaw ng iba ang password mo, hindi sila makakapasok nang walang pangalawang factor.
Isa ito sa pinakaepektibong hakbang sa seguridad na kayang gawin ng ordinaryong tao, at kadalasang ilang minuto lang ang setup. Ipinapaliwanag ng gabay na ito kung paano gumagana ang 2FA, aling paraan ang pipiliin, at paano maiiwasang ma-lock out ang sarili mo.
Bakit hindi sapat ang password lang
Maraming paraan para mag-leak ang password. Iisang password ang ginagamit ng mga tao sa ilang site, nana-hack ang mga website, at nililinlang ng mga phishing page ang tao na i-type ang login details nila sa pekeng form. Kapag alam na ang password, puwede itong subukan ng kahit sino sa email, social media o online shopping account mo.
Nagdadagdag ang 2FA ng pangalawang kandado. Hindi na sapat ang ninakaw na password, dahil kailangan din ng attacker ang code mula sa device mo. Pinahihirap nito ang maraming karaniwang pag-agaw ng account, lalo na ang mga umaasa sa inulit o na-leak na password.
Ang mga pangunahing uri ng pangalawang factor
Hindi pare-pareho ang lakas ng lahat ng pangalawang factor. Ang pinakakaraniwang pagpipilian:
- Authenticator app. Ang mga app tulad ng Google Authenticator, Microsoft Authenticator at iba pang compatible na app ay gumagawa ng bagong anim na digit na code kada 30 segundo. Sa phone mo ginagawa ang mga code, kaya hindi ito dumadaan sa phone network.
- SMS code. Ipinapadala ang code sa text message. Mas mabuti ito kaysa walang 2FA, pero puwedeng ma-intercept o mailihis ang text message, halimbawa sa SIM-swap fraud, kung saan kinukumbinsi ng kriminal ang mobile operator na ilipat ang numero mo sa SIM card niya.
- Push notification. May mga serbisyong nagpapadala ng prompt sa app sa phone mo na nagtatanong ng "Ikaw ba ito?" Kumbinyente, pero huwag kailanman aprubahan ang prompt na hindi mo inaasahan.
- Security key at passkey. Ang pisikal na key o passkey na nakaimbak sa device mo ay kabilang sa pinakamalakas na option, dahil idinisenyo ang mga ito para labanan ang phishing. Nag-iiba ang suporta depende sa serbisyo.
Para sa karamihan, malakas at praktikal na pili ang authenticator app. Kung SMS lang ang alok ng serbisyo, i-on mo pa rin ito. Malaking pagbuti pa rin ito kumpara sa password lang.
Paano gumagana ang authenticator app
Kapag in-on mo ang 2FA gamit ang authenticator app, magpapakita ang website ng QR code. Naglalaman ang QR code na iyon ng secret key. Isang beses mo itong i-scan gamit ang authenticator app, at mula noon, ginagamit ng app at ng website ang shared secret na iyon at ang kasalukuyang oras para kalkulahin ang parehong anim na digit na code.
Dahil nagbabago ang code kada 30 segundo, wala nang silbi ang code na nasilip ng iba sa likod mo pagkalipas ng ilang sandali. At dahil sa phone mo kinakalkula ang mga code, gumagana ang app kahit walang internet.
Isang mahalagang paalala: sensitibo ang setup QR code. Ang sinumang mag-scan nito ay makakagawa ng mga code mo. Huwag itong i-screenshot, i-share o iwan sa screen kung saan makikita ng iba.
Paano mag-set up ng 2FA, hakbang-hakbang
Magkakaiba ang eksaktong menu sa bawat serbisyo, pero kadalasang pareho ang proseso:
- Mag-install ng authenticator app sa phone mo.
- Mag-sign in sa account na gusto mong protektahan at buksan ang security settings nito.
- Hanapin ang "Two-factor authentication", "Two-step verification" o "2-step sign-in" at piliin ang authenticator app option.
- I-scan ang QR code na nasa screen gamit ang authenticator app.
- I-type ang anim na digit na code mula sa app para kumpirmahing gumagana ito.
- I-save ang mga backup code na ibibigay ng serbisyo (tingnan ang susunod na seksyon).
- Mag-sign out at mag-sign in ulit para matiyak na gumagana ang lahat.
Magsimula sa mga account na pinakamahalaga: ang pangunahing email mo (dahil kaya nitong i-reset ang ibang password), banking, e-wallet, social media, cloud storage at anumang account na may payment details. Sa QR-TH, puwede mong i-on ang two-step sign-in gamit ang authenticator app mula sa account settings, na nagpoprotekta sa mga QR code at short link mo para hindi mabago ng iba.
Backup code: ang daan mo pabalik
Ang pinakakaraniwang problema sa 2FA ay hindi pagka-hack. Ito ay ang pagkawala ng phone. Kung nawala, nanakaw, nasira o pinalitan ang phone mo, kailangan mo ng ibang paraan para mag-sign in.
Iyan ang silbi ng backup code. Karamihan ng serbisyo ay nagbibigay ng listahan ng one-time code kapag in-on mo ang 2FA. Bawat code ay magagamit nang isang beses kapalit ng code mula sa app.
Itago ang mga ito nang ligtas:
- I-print ang mga ito at itago ang papel sa ligtas na lugar sa bahay, o
- I-save ang mga ito sa mapagkakatiwalaang password manager, at
- Huwag itong itago lang sa parehong phone kung nasaan ang authenticator app mo.
Isang beses lang gumagana ang bawat backup code. Kapag nagamit mo na ang isa, ekisan ito. Kapag paubos na, pinapayagan ka ng karamihan ng serbisyo na gumawa ng bagong set, na nagkakansela sa mga luma.
Pagpapalit ng phone nang hindi nala-lock out
Bago i-reset, ibenta o i-trade in ang lumang phone, ilipat muna ang mga authenticator code sa bago. May mga authenticator app na may transfer o cloud backup feature; sa iba naman, kailangan mong i-set up ulit ang 2FA para sa bawat account.
Isang ligtas na paraan:
- Panatilihing gumagana ang lumang phone hangga't hindi pa nakukumpirma ang bawat account sa bago.
- Para sa mga account na hindi mailipat, mag-sign in, i-off at i-on ulit ang 2FA, at i-scan ang bagong QR code gamit ang bagong phone.
- Subukan ang bawat account bago burahin ang laman ng lumang device.
Mga karaniwang pagkakamali sa 2FA na dapat iwasan
- Pagbabahagi ng code. Walang totoong bangko, tindahan o support team na hihiling na basahin mo ang 2FA code o OTP mo. Malamang na scammer ang sinumang humihingi nito.
- Pag-apruba ng hindi inaasahang prompt. Kung may sign-in request na hindi ikaw ang nagsimula, tanggihan ito at palitan ang password mo.
- Pag-type ng code sa page na naabot mula sa link sa mensahe. Puwede ring humingi ng code ang phishing site. Dumiretso na lang sa website.
- Paglaktaw sa backup code. Isang minuto lang ang pag-save nito at puwede kang makatipid ng ilang araw ng account recovery.
Para sa mas pang-araw-araw na proteksyon, basahin ang aming mga tip sa seguridad ng mobile, at alamin kung paano makilala ang QR code scam na sumusubok magnakaw ng login details.
FAQ
Talaga bang kailangan ang two-factor authentication?
Para sa mahahalagang account tulad ng email, banking at social media, oo. Hinaharangan nito ang maraming atake na umaasa sa ninakaw o inulit na password.
Mas ligtas ba ang authenticator app kaysa SMS?
Sa pangkalahatan, oo. Sa phone mo ginagawa ang authenticator code, samantalang puwedeng ma-intercept o mailihis ang SMS code sa pamamagitan ng SIM-swap fraud. Mas mabuti pa rin ang SMS kaysa walang 2FA.
Ano ang mangyayari kung mawala ang phone ko?
Gamitin ang isa sa mga naka-save mong backup code para mag-sign in, pagkatapos ay i-set up ulit ang 2FA sa bagong phone. Kung walang backup code, kailangan mong dumaan sa account recovery process ng serbisyo.
Mahahack ba ang account ko kung may hawak ng 2FA code ko?
Sandali lang valid ang code, pero ang scammer na nakalinlang sa iyo na ibahagi ito nang real time ay puwedeng gumamit nito. Huwag kailanman ibahagi ang mga code mo kaninuman.
Ilang minuto lang ang two-factor authentication at ginagawa nitong mas mahirap pasukin ang mga account mo. I-on ito sa email at banking mo ngayon, pagkatapos ay protektahan ang QR-TH account mo gamit ang two-step sign-in. Magbasa pa sa aming FAQ.